Article 30 — Procédure de notification (Règlement IA de l'UE)

Article 30 du Règlement (UE) 2024/1689 — Procédure de notification. Texte officiel, interprétation pratique, obligations clés et implications en matière de conformité.

Résumé du texte officiel

L'Article 30 du Règlement (UE) 2024/1689 (le Règlement IA de l'UE) établit la procédure formelle par laquelle les États membres notifient à la Commission européenne et aux autres États membres les organismes d'évaluation de la conformité qu'ils ont désignés en tant qu'organismes notifiés, autorisés à réaliser des évaluations de la conformité par des tiers pour les systèmes d'IA à haut risque.

L'autorité notifiante de chaque État membre soumet la notification par voie électronique via le système d'information NANDO (New Approach Notified and Designated Organisations) de la Commission. La notification doit inclure les informations d'identification de l'organisme d'évaluation de la conformité, son périmètre d'activités désigné (précisant les catégories de systèmes d'IA et les tâches couvertes), ainsi que la preuve que l'organisme satisfait à toutes les exigences définies à l'Article 31.

Un délai d'attente de deux semaines suit la soumission de la notification. Durant cette période, la Commission ou un autre État membre peut soulever des objections. Si aucune objection n'est soulevée, l'organisme notifié peut commencer ses activités d'évaluation de la conformité. En cas d'objection, la Commission consulte les parties concernées et détermine si la notification est justifiée, en donnant des instructions à l'État membre notifiant en conséquence.

Lorsqu'une autorité notifiante constate qu'un organisme notifié a cessé de satisfaire aux exigences ou ne remplit pas ses obligations, elle doit restreindre, suspendre ou retirer la désignation et en informer promptement la Commission et les autres États membres. La Commission veille à ce que le système NANDO reste accessible au public et tenu à jour, assurant la transparence sur l'ensemble des organismes notifiés autorisés opérant au sein du marché unique de l'UE.

Ce que cela signifie en pratique

L'Article 30 concerne directement deux groupes d'acteurs : les organismes d'évaluation de la conformité souhaitant agir en tant qu'organismes notifiés, et les fournisseurs de systèmes d'IA à haut risque qui doivent identifier et faire appel à un organisme notifié approprié pour l'évaluation obligatoire de la conformité par des tiers.

Pour les organismes d'évaluation de la conformité, la procédure de notification constitue la porte d'entrée pour opérer en tant qu'organisme notifié au titre du Règlement IA de l'UE. Une fois qu'une autorité notifiante nationale a évalué et approuvé un organisme selon les critères de l'Article 31 — portant sur l'indépendance, la compétence technique, l'impartialité et la couverture de responsabilité —, elle dépose la notification formelle via NANDO. L'organisme ne doit pas commencer à délivrer des certificats de conformité au titre du Règlement IA avant la clôture du délai d'objection de deux semaines sans contestation, ou jusqu'à ce que les objections éventuelles aient été résolues en sa faveur.

Pour les fournisseurs de systèmes d'IA soumis à l'évaluation obligatoire de la conformité par des tiers (principalement ceux qui mettent sur le marché de l'UE des systèmes d'IA à haut risque listés à l'Annex III pour lesquels un organisme notifié est requis, ou ceux relevant de la législation sur la sécurité des produits de l'Annex I), l'Article 30 fournit le mécanisme permettant de vérifier quels organismes sont légitimement autorisés. Les fournisseurs doivent sélectionner uniquement des organismes notifiés conformément — identifiables via NANDO — pour leurs évaluations de conformité. Faire appel à un organisme avant que sa notification soit effective, ou dont la notification a été suspendue, invaliderait le certificat en résultant et rendrait le système non conforme.

Lorsque la désignation d'un organisme notifié est restreinte ou retirée, les fournisseurs détenant des certificats délivrés par cet organisme doivent prendre des mesures correctives, pouvant inclure le recours à un autre organisme notifié pour revalider la conformité avant de continuer à mettre le système sur le marché.

Obligations clés

• Les autorités notifiantes doivent soumettre à la Commission les notifications des organismes d'évaluation de la conformité désignés via le système de notification électronique NANDO, en incluant les informations d'identification complètes, le périmètre de la désignation et les justificatifs d'accréditation.
• Les organismes notifiés ne doivent pas commencer leurs activités d'évaluation de la conformité au titre du Règlement IA de l'UE avant l'expiration du délai d'attente de deux semaines suivant la notification formelle sans objection, ou jusqu'à ce que toute objection ait été résolue en leur faveur par la Commission.
• Les autorités notifiantes doivent surveiller en permanence les organismes notifiés relevant de leur compétence et restreindre, suspendre ou retirer immédiatement la notification si l'organisme cesse de satisfaire aux exigences de l'Article 31 ou ne remplit pas ses obligations, en informant sans délai la Commission et les autres États membres.
• La Commission doit maintenir le système NANDO et le rendre accessible au public en tant que registre faisant autorité de tous les organismes notifiés opérant au titre du Règlement IA de l'UE, assurant la transparence entre les États membres.
• Les fournisseurs de systèmes d'IA à haut risque doivent vérifier que tout organisme d'évaluation de la conformité auquel ils font appel est valablement notifié via NANDO et que la notification de l'organisme couvre la catégorie spécifique de systèmes d'IA et les tâches requises.
• Les États membres et la Commission peuvent soulever des objections dans le délai de deux semaines suivant la soumission d'une notification, déclenchant un processus de consultation obligatoire avant que la notification puisse produire ses effets juridiques.

Relation avec d'autres articles

L'Article 30 occupe une place centrale dans un ensemble de dispositions régissant le cadre des organismes notifiés au Titre III, Chapitre 4.

Il présuppose l'Article 28, qui établit et définit le rôle des autorités notifiantes au niveau des États membres, et l'Article 29, qui fixe les exigences générales que ces autorités doivent elles-mêmes satisfaire (indépendance, compétence, absence de conflits d'intérêts) avant de pouvoir légitimement notifier des organismes.

La substance de ce qu'un organisme doit démontrer pour recevoir et conserver sa notification est régie par l'Article 31 (exigences applicables aux organismes notifiés) et l'Article 33 (filiales et sous-traitance des organismes notifiés). La conduite opérationnelle des organismes notifiés une fois autorisés est abordée aux Articles 33 à 39.

L'Article 30 se rattache également à l'Article 43 (procédures d'évaluation de la conformité), puisque la validité juridique de tout certificat d'évaluation de la conformité dépend du fait que l'organisme émetteur détient une notification actuelle et effective au titre de l'Article 30. Enfin, il est lié à l'Article 74 (surveillance du marché) dans la mesure où les autorités compétentes doivent vérifier que les certificats sous-tendant le marquage CE ont été délivrés par des organismes dûment notifiés.

Calendrier de conformité

Le Règlement IA de l'UE est entré en vigueur le 1er août 2024, vingt jours après sa publication au Journal officiel de l'UE.

L'Article 30 relève des dispositions applicables aux systèmes d'IA à haut risque, qui suivent le calendrier d'application échelonné du Règlement :

• 1er août 2024 — Entrée en vigueur. Les États membres entament les travaux préparatoires pour établir ou désigner des autorités notifiantes.
• 2 août 2025 — Les obligations générales, y compris la plupart des dispositions relatives à la gouvernance et au cadre des organismes notifiés, ont commencé à s'appliquer. Les États membres devaient avoir des autorités notifiantes opérationnelles, et les organismes d'évaluation de la conformité pouvaient entamer le processus de désignation et de notification.
• 2 décembre 2027 — Les systèmes d'IA à haut risque couverts par l'Annex III (applications à haut risque autonomes) doivent pleinement se conformer, ce qui signifie que les fournisseurs nécessitant une évaluation de la conformité par des tiers doivent avoir fait appel à un organisme notifié valablement notifié.
• 2 août 2028 — Les systèmes d'IA à haut risque intégrés dans des produits réglementés par la législation sur la sécurité des produits de l'Annex I (par exemple, les machines, les dispositifs médicaux, les jouets) doivent se conformer, alignant les exigences du Règlement IA avec les calendriers existants d'évaluation de la conformité en matière de sécurité des produits.

Les fournisseurs qui envisagent de mettre sur le marché de l'UE des systèmes d'IA à haut risque doivent vérifier le statut de notification de l'organisme d'évaluation de la conformité qu'ils ont choisi via NANDO bien avant ces échéances, car la procédure de notification implique elle-même une évaluation par l'autorité nationale, un délai d'objection de deux semaines et un éventuel examen par la Commission — un processus qui peut prendre plusieurs mois au total.